Ing cathetan sakabehe.
Cakupan. Cathetan iki nyakup VPN gratis Opera sing wis digabungake ing browser, sing ndadekake iki browser_proxy: Opera kanthi cetha kandha yen VPN kasebut "mung nglindhungi browsing sampeyan ing browser Opera, lan ora nglindhungi kabeh piranti sampeyan".
VPN Pro, sedulure sing mbayar, minangka produk sing beda lan ora kaetung ing kene - pratelan privasi kandha yen VPN Pro "diwenehake dening panyedhiya layanan pihak katelu sing duwe, ngoperasikake, lan njaga infrastruktur", regane wiwit $4 saben sasi, nyakup nganti enem piranti lan 48 negara, dene VPN gratis nggunakake infrastruktur duweke Opera dhewe.
liyane sing isih kabukak — 1036 tembung maneh
Sapa pihak katelu kasebut wis owah: pengumuman audit 2024 kandha yen server VPN Pro "diwenehake kanthi kerja sama karo Nord", lan panjelasan 2026 kandha yen VPN Pro "dilengkapi protokol Lightway generasi anyar", sing dadi duweke ExpressVPN. Ora ana dokumen sing kandha yen pengaturan kasebut wis owah.
X02 minangka temuan utama, lan rong dokumen sing dadi dhasare padha-padha duweke Opera. Pengumuman 2024 ngutip panemu Deloitte: "konfigurasi sistem IT lan manajemen operasi IT sing ndhukung wis dirancang lan ditrapake kanthi trep, ing kabeh bab sing material, adhedhasar kritéria sing diterangake ing Management Assertion Opera, per 10 Agustus 2024", lan kanthi kapisah nyandhangake ukara "Ora ana fungsi pencathetan data sing dibangun ing layanan VPN, lan ora ana data apa wae sing diklumpukake" marang Management Assertion duweke Opera dhewe.
Kiriman 2026 nyritakake maneh penugasan sing padha, kanthi kandha yen Deloitte sing nemokake temuan kasebut: "kita menehi tim Deloitte akses lengkap menyang VPN lan infrastruktur server kita, lan dheweke bisa verifikasi pratelan kita ... Nyatane, fungsi pencathetan data malah ora dibangun ing VPN wiwit wiwitan." Kiriman sing padha ngowahi periode sing ing kiriman 2024 diwenehi tanggal 18 Juni nganti 10 Agustus 2024 dadi "akses lengkap".
Opera nggambarake pratelane dhewe minangka kesimpulan auditore. Kuwi sebabe blok VERIFY kapisah kaya mangkono. V01 yaiku yes_verified adhedhasar laporan sing pancen dibukak — ringkesan manajemen sing diumumake dhewe dening Cure53 babagan asesmen Maret 2022 — dudu adhedhasar pengumuman Deloitte.
Laporan Deloitte dhewe ora diumumake ing ngendi wae, mula V02 yaiku press_only, lan saben kolom sing dadi temuan laporan kasebut, dudu fakta babagan penugasane, tetep ora dingerteni: cakupan armada (V04), standar assurance (V07), apa sing kasebut laporan babagan panyimpenan (V11), lan kekuwatan opini (V15).
Fakta penugasan — perusahaan, kategorine, tanggal, lan apa sing kacathet dites — dijupuk saka pengumuman kasebut. Panyedhiya sing wis kabukten ngganti gambaran audit iki sepisan ora dadi sumber kanggo apa sing dadi kesimpulan audit. C01 yaiku none_linkable amarga kuwi pernyataan ing pratelan privasi; V11 yaiku temuane, lan ora ana temuan sing bisa diwaca.
Laporan Cure53 iku nyata lan dadi sebab V14 yaiku yes_verified: pitung tester, rong puluh papat dina-wong, white-box ing patang paket kerja sing nyakup klien VPN, konfigurasi lan infrastruktur server, uga protokol Opera Mini sing digunakake kanggo ngirim konfigurasi VPN. Ana patbelas masalah sing relevan karo kaamanan, wolung ing antarane minangka kerentanan nyata, lima dirating kanthi tingkat keparahan dhuwur lan ora ana sing kritis.
Per Maret 2022, sanga wis didandani lan pambenahane wis diverifikasi, siji didandani sebagian, telu risikone ditampa, siji minangka tandha palsu lan siji isih ing proses. Blog Opera nyebutake yen pitung item sing langsung ana gandhengane karo VPN browser "kabeh banjur dirampungake", lan tabel ndhukung kuwi — sisa kasus ana ing paket kerja Opera Mini, dudu ing VPN dhewe.
Kepemilikan diumumake kanthi lengkap lan pungkasane ana ing negara mandat, mula X03 lan C11 nuding arah kosok balen tanpa mbantah siji lan sijine.
Pengontrol data sing disebut ing pratelan privasi Opera dhewe yaiku Opera Norway AS, sawijining perusahaan Norwegia, lan laporan transparansi diajukake nganggo jeneng kuwi.
Perusahaan induke yaiku Opera Limited, perusahaan exempted sing diinkorporasi ing Kepulauan Cayman ing Maret 2018 tanpa operasi substantif dhewe. Form 20-F kanggo 2025 nyebut Hong Kong Kunlun Tech Holding Limited minangka pemegang saham utama kanthi 68,0%, sawijining anak perusahaan Kunlun Tech Co., Ltd. sing diinkorporasi ing PRC, lan nyatakake yen Kunlun "yaiku induk utama Opera lan dikontrol dening ketua eksekutif Opera".
Dadi M06 iku NO lan C10 iku no, dene M11 iku CN lan C11 iku yes.
C12 iku sela sing paling cetha antarane pratelan VPN lan aplikasi panggonane. Bagean VPN ing pratelan privasi nyatakake ora ana logging; bagean liyane ing dokumen sing padha kandha yen nalika aplikasi Opera diinstal, "ID instalasi acak digawe. Kita nglumpukake identifier iki, uga Machine ID, spesifikasi hardware (model, tanggal rilis, lan sapanunggalane), sistem operasi, konfigurasi lingkungan, lan data panggunaan fitur", sing disimpen nganti telung taun.
Machine ID asalé saka hardware, mula identifier sing dicekel panyedhiya iku persistent_hardware_id lan dudu identifier acak sing winates ing aplikasi, apa wae sing dicathet utawa ora dicathet dening tunnel.
X12 mbandhingake rong dokumen sing diajukake Opera dhewe. Formulir Play data-safety kanggo com.opera.browser nyatakake Installed apps diklumpukake kanggo Analytics, dene pratelan privasi babar pisan ora nyebutake pangumpulan aplikasi sing diinstal ing piranti. Installed apps iku prilaku, dudu identifier, mula asilé undisclosed_behaviour.
Formulir sing padha nyatakake Device or other IDs dienggo bareng karo perusahaan liyane kanggo advertising, lan kuwi sing ndadekake C07a ana ing ads. C07b dhasare luwih sempit lan ditandhani B amarga kuwi: siji-sijine host pihak katelu ing markup sing dilayani kanggo kaca produk yaiku Google Tag Manager, lan apa sing dimuat kontainer kuwi nalika runtime ora dirinci.
U02 ora dingerteni amarga rancangan produke, dudu amarga telusuran gagal: VPN gratis iki nawakake telung wilayah — Opera nyebut Amerika, Asia lan Eropa — lan ora nate nyebut negara. C09 lan C09b asalé saka kuwi lan ora bisa ditetepake nalika kahanan iki isih ana.
X05 iku ads_supported ing panjelasan Opera dhewe, sing ndhaptar advertising minangka sing pisanan saka telung sumber pendapatan lan nerangake yen Opera Ads nglumpukake ID pangguna sing digawe kanthi acak, kutha utawa negara lan kategori umum situs sing dibukak, sing disimpen nganti setaun; bebarengan karo U05 = unlimited_free, iki persis kasus sing digawe R15 kanggo ditandhani.
X06 iku pratelan ing postingan 2026 yen AES-256 "butuh luwih saka sakmilyar taun kanggo dibobol dening hacker, sanajan nganggo komputer sing paling cepet". X09 iku self_disclosed_prompt ing rong postingan 2026 nalika Opera nerbitake kerentanan sing wis dilaporake dening peneliti njaba, bebarengan karo analisis lan versi sing wis dibenerake — iki kerentanan browser, dudu insiden VPN, lan ora ana insiden VPN sing dingerteni.
C05 iku not_sold. VPN gratis iki babar pisan ora duwe langkah pambayaran - ora ana langganan, ora ana akun - mula ora ana sing kudu dibayar kanthi anonim utawa kanthi cara liya.
Cathetan iki pisanan ditulis minangka none, sing tegese "mung cara pambayaran sing diidentifikasi sing ditawakake" lan iki ora bener ing kene, amarga wektu iku kosakatane ora duwe token kanggo layanan sing ora njupuk dhuwit; unknown bakal tegese panelusuran gagal, sing uga ora bener, lan ing antarane rong pangerten sing padha-padha salah, sing nyimpang nglawan panyedhiya sing dicathet. Token kasebut saiki wis ana lan regane ora ana, sing dadi jawaban sing jujur: yen ora ana pambayaran, ora ana identitas pambayaran sing bisa bocor.
